Meld. St. 10 (2016–2017) Risiko i et trygt samfunn — Samfunnssikkerhet

Meldingen redegjør for regjeringens politikk for arbeidet med samfunnssikkerhet og er regjeringens strategi for arbeidet i et fireårsperspektiv. I meldingen omtales åtte sentrale områder av stor betydning for samfunnssikkerheten, som regjeringen vil vie særlig oppmerksomhet fremover. Fire av disse gjelder spesifikke trusler og risikoer innenfor samfunnssikkerhetsfeltet.

Dette er digitale sårbarheter og IKT-sikkerhet, alvorlige naturhendelser, alvorlig kriminalitet og CBRNE-beredskap (kjemisk, biologisk, radiologisk, nukleær og eksplosiv), med spesielt fokus på smittsomme sykdommer og farlige stoffer. Fire områder omhandler ulike aspekter ved arbeidet for å bedre samfunnssikkerhet og håndteringsevne, uavhengig av konkrete risikoer. Dette er krisehåndtering, sivilt-militært samarbeid og totalforsvaret, holdninger, kultur og ledelse, samt læring etter hendelser og øvelser. Meldingen inneholder et kapittel om håndtering av risiko. Den beskriver det tverrsektorielle samfunnssikkerhetsarbeidet og internasjonalt arbeid på området.

Meld. St. 10 (2016–2017) i PDF.

Utdrag fra meldingen:

Kapittel 4: Å leve med risiko

Arbeidet med samfunnssikkerheten handler om å
identifisere, vurdere og håndtere risiko. Det finnes
likevel grenser for hvor langt arbeidet kan og
bør strekkes. Det er ikke mulig å fjerne all risiko –
en restrisiko vil alltid være der. Det er heller ikke
ønskelig å skape et 100 prosent sikkert samfunn.
Tiltak kan komme i konflikt med grunnleggende
verdier som selvbestemmelse, personlig frihet,
rettssikkerhet og personvern. Kostnadene ved
sikkerhetstiltak kan også overstige den nytten vi
anslår at tiltaket gir oss. Å være oppmerksom på
og forebygge slike mulige virkninger er en viktig
del av arbeidet med samfunnssikkerheten.

Et samfunn rikt på materielle, økonomiske og
menneskelige ressurser vil ha en større samlet evne til å forebygge og håndtere hendelser, og det
vil være mindre sårbart dersom en enkelt ressurs
settes ut av spill. Det vil lettere kunne opprettholde
og om nødvendig gjenoppbygge viktige
samfunnsfunksjoner. Norge har derfor gode forutsetninger
for å være et motstandsdyktig samfunn.

Regjeringen vil bidra til debatt om de grunnleggende
utfordringene og dilemmaene ved å leve
med risiko. Kapittel 4 er derfor viet denne tematikken.

[...]

Kapittel 6: Digitale sårbarheter og IKT-sikkerhet
Norge er et av verdens mest digitaliserte land. Gevinsten
av IKT er betydelig for hele samfunnet, og
den digitale utviklingen er en avgjørende del av
vår verdiskapning og vekst. Digitaliseringen har
også medført at samfunnets risikobilde har endret
seg.

Virksomheter og privatpersoner må ha tillit til
at systemer og nettverk fungerer slik de skal, og
ivaretar personvernet til den enkelte. God IKT-sikkerhet
er en forutsetning for å oppnå denne tilliten.
I tillegg må vi ha tilstrekkelig nasjonal evne til
å avdekke og håndtere digitale angrep. I denne
meldingen er særlig hovedanbefalingene fra Digitalt sårbarhetsutvalg (Lysneutvalget) vurdert.1
Justis- og beredskapsdepartementet vil i 2017
fremme en egen stortingsmelding om oppfølgingen
av Lysneutvalgets anbefalinger.

Regjeringen vil:

– vurdere etablering av et nasjonalt regelverk
som gir enhetlig og tverrsektoriell regulering
på IKT-sikkerhetsområdet. Arbeidet vil sees i
sammenheng med EUs direktiv om tiltak for et
felles sikkerhetsnivå i nettverks- og informasjonssystemer
(NIS-direktivet), og vurderinger
fra Sikkerhetsutvalget

– utarbeide en ny nasjonal strategi for IKT-sikkerhet.
Strategien skal angi regjeringens mål
og strategiske prioriteringer innenfor IKT-sikkerhetsområdet.
I tillegg skal det utarbeides en
handlingsplan

– heve IKT-sikkerhetskompetansen i sektortilsynene.
Nasjonal sikkerhetsmyndighet (NSM)
skal etablere en fellesarena hvor sektortilsynene
kan samordne planlagte tilsynsaktiviteter
og drive erfaringsutveksling innenfor IKT-sikkerhetsområdet

– utvikle og vedlikeholde et godt og tilgjengelig
kunnskapsgrunnlag som gjør enkeltindivider,
virksomheter og myndigheter i stand til å treffe
riktige tiltak. For dette formålet skal blant annet
NSMs rapport Helhetlig IKT-risikobilde videreutvikles

– styrke IKT-sikkerheten i statsforvaltningen og
understøtte digitaliseringen av offentlig sektor

– videreutvikle den nasjonale evnen til å avdekke
og håndtere digitale angrep, ved å videreutvikle
varslingssystem for digital infrastruktur
(VDI) og etablere et nasjonalt rammeverk for
digital hendelseshåndtering

– legge til rette for en langsiktig oppbygging av
IKT-sikkerhetskompetanse, gjennom å utarbeide
en nasjonal kompetansestrategi for IKTsikkerhet.
Tiltaket innebærer også bevisstgjøringsaktiviteter
rettet mot befolkningen og
virksomheter

– styrke sikkerheten og robustheten i elektroniske
kommunikasjonsnett (ekomnettene).
Nasjonal kommunikasjonsmyndighet (Nkom)
skal vurdere sårbarhetsreduserende tiltak
knyttet til avhengigheten av Telenors kjerneinfrastruktur,
og hvordan ulike transportnett og
utenlandsforbindelser kan kombineres for å
øke den samlede nasjonale kapasiteten og sikkerheten

1 NOU 2015: 13 Digital sårbarhet – sikkert samfunn.

– tydeliggjøre hvilke myndigheter som har ansvar
for sikkerheten innenfor norsk romvirksomhet.
De fleste samfunnskritiske funksjonene
avhenger av satellittbaserte tjenester, og
det er sentralt at sikkerhetsaspektet ivaretas

– revidere nasjonal kryptopolitikk. Kryptering
har stor betydning for IKT-sikkerhet og understøtter
sikker elektronisk kommunikasjon

– delta og bidra internasjonalt for å løse felles
problemstillinger innenfor IKT-sikkerhet på
tvers av nasjoner

– utarbeide en stortingsmelding om oppfølging
av Lysneutvalgets anbefalinger med oversikt
over kortsiktige og langsiktige prioriteringer i
oppfølgingsarbeidet, samt status i berørte sektorer

[...]

Regjeringen vil:

– følge opp tiltakene i regjeringens handlingsplan
mot radikalisering og voldelig ekstremisme
og utvikle nye tiltak i tråd med risikobildet
på feltet

– styrke analysekapasiteten til Politiets sikkerhetstjeneste
(PST), slik at etaten blir bedre i
stand til å bekjempe terrorhandlinger på norsk
jord

– legge til rette for at PST i større grad målretter
sine trusselvurderinger mot de aktører som
har ansvar for og myndighet til å iverksette tiltak
under en krisesituasjon

– gjøre det enklere å nekte potensielle fremmedkrigere
pass

– etablere en sikker og effektiv identitetsforvaltning
basert på biometri, slik at det utstedes
sikre pass og nasjonale ID-kort med eID

– arbeide videre for å styrke samarbeidet mellom
statlige etater og næringslivet for å være bedre
rustet mot statlige eller ikke-statlige digitale
angrep mot Norge og norske interesser

– følge opp og videreutvikle Justis- og beredskapsdepartementets
strategi mot IKT-kriminalitet:
– sørge for at det årlig utarbeides en særskilt,
felles trusselvurdering for IKT-kriminalitet
på Justis- og beredskapsdepartementets
fagområde

– bygge opp et høykompetent fagmiljø innenfor
politiet som skal styrke bekjempelsen av
IKT-kriminalitet

– styrke politidistriktenes grunnkompetanse
og fagmiljøer innenfor IKT kriminalitet

– styrke politiets grunnutdanning og etter- og
videreutdanning innenfor IKT-kriminalitet

– gjennomføre tiltakene i handlingsplanen mot
menneskehandel

– styrke arbeidet mot hvitvasking og terrorfinansiering,
ved å gjennomføre regjeringens strategi
mot hvitvasking og terrorfinansiering og
utarbeide Nasjonal risikovurdering på området

– styrke samarbeidet mellom politiet og kontrolletatene,
blant annet gjennom å videreutvikle
tverretatlige etterretnings- og analysefunksjoner

– utvikle reglene om taushetsplikt slik at det bidrar
til bedre informasjonsutveksling og samhandling mellom offentlige kontrollmyndigheter
og mellom kontrollmyndighetene og politiet

[...]

Boks 3.2 Offentlig-privat samarbeid

[...]

Av etablerte ordninger for offentlig-privat samarbeid
i Norge, kan blant annet nevnes:

– redningstjenesten, som bygger på et samvirke
hvor private aktører har en sentral rolle

– varslingssystemet for digital infrastruktur
(VDI) – et offentlig-privat samarbeid knyttet
til avdekking, forebygging og håndtering av IKT-hendelser. NSM organiserer og drifter et
sensornettverk til både offentlige og private
aktører for å avdekke og verifisere forsøk på
angrep mot norsk infrastruktur. NSM har etablert
flere fora knyttet til denne type problemstillinger

– Ekomsikkerhetsforum – et forum for utveksling
av informasjon mellom myndigheter og
private aktører innenfor ekom

– samarbeidsavtalen mellom Kripos og Næringslivets
sikkerhetsråd om bekjempelse av
IKT-kriminalitet i og mot næringslivet

– NorSIS – en uavhengig organisasjon som jobber
for økt kunnskap om og forståelse for informasjonssikkerhet
(et «Trygg trafikk»
innenfor IKT, som får tilskudd fra Justis- og
beredskapsdepartementet)

– CCIS – Center for Cyber and Information Security,
et samarbeid mellom offentlige og private
aktører for å øke samfunnets kompetanse
og ferdigheter på håndtering av IKT-relatert
kriminalitet

– samarbeidsavtaler med distributører/grossister
om matvaredistribusjon

– samarbeid med Norges Rederiforbund om et
beredskapssekretariat i forbundet som utfører
oppgaver for og i samarbeid med Nærings-
og fiskeridepartementet

– Forsvarets avtaler med private aktører. Enkelte
av disse avtalene kan også stilles til disposisjon
for sivile myndigheter, for eksempel
avtalen med SAS om flyevakuering

1 Private aktører kan være både private og statseide virksomheter
(næringsliv), frivillige organisasjoner, stiftelser
og i visse tilfeller også privatpersoner.

[...]

Boks 4.2 Samfunnskontrakten

«Samfunnskontrakten» er et begrep som brukes
for å beskrive grunnleggende spørsmål
om organiseringen av et samfunn og myndighetenes
legitimitet overfor individet. Tillit mellom
borgere, og mellom borgere og myndighetene,
er helt avgjørende for at en samfunnskontrakt
skal kunne etableres og opprettholdes.

Utgangspunktet for tanken om en «samfunnskontrakt
» er erkjennelsen av at mennesker
i møte med ulike utfordringer står best
rustet som et fellesskap. Dette fellesskapet tar
form av en stat med valgte myndigheter. Det
er befolkningen, dvs. innbyggerne som frie individer,
som har retten til å bestemme hvordan
staten skal styres og hvem innbyggerne
skal styres av. Innbyggerne inngår en «kontrakt
» med sine valgte ledere. Kontrakten gir
alle innbyggere rettigheter, og den gir lederne
retten til å pålegge innbyggerne plikter, som
betaling av skatt. Rettighetene og pliktene skal
fordeles rettferdig, og det skal være likebehandling
av alle som samfunnskontrakten omfatter.

Samfunnskontrakten innebærer også at staten,
under visse, bestemte betingelser, kan
bruke nødvendige midler for å pågripe og straffeforfølge
borgere, samt opprettholde ro og orden

[...]

En del risikoer er der fordi vi velger å leve
med dem. De er gjerne knyttet til aktiviteter vi ønsker
i samfunnet, som oftest fordi de kan gi en gevinst.
For eksempel støtter Norge et åpent, fritt og
uavhengig internett, fordi det er bra for kommunikasjon,
verdiskapning og vår velstand. Det betyr
imidlertid også at vi utsetter oss for risiko, fordi
internett eksponerer IKT-systemer for digitale angrep.
Tiltak for å redusere digital sårbarhet må
derfor veies opp mot hvordan de kan redusere de
positive virkninger av tilgang til og bruk av internett.

[...]

6 Digitale sårbarheter og IKT-sikkerhet

Norge er et av verdens mest digitaliserte land.1
Gevinsten av IKT er betydelig for hele samfunnet,
og den digitale utviklingen er en avgjørende del av
vår verdiskapning og vekst. Økt digitalisering er
ikke et valg; det er en forutsetning for et moderne
samfunn.

For å sikre effektivisering gjennom økt digitalisering
av det norske samfunnet, må IKT-løsninger
og digitale tjenester være tilstrekkelig sikre
og pålitelige. Virksomheter og privatpersoner må
ha tillit til at systemer og nettverk fungerer slik de
skal, og ivaretar personvernet til den enkelte. God

IKT-sikkerhet er en forutsetning for å oppnå
denne tilliten. I tillegg må vi ha tilstrekkelig nasjonal
evne til å avdekke og håndtere digitale angrep.
IKT-sikkerhet omfatter både tekniske og administrative
sikringstiltak, og innebærer beskyttelse
av både IKT-systemer og informasjonen i disse.
IKT-sikkerhet handler derfor om beskyttelse av
«alt» som er sårbart fordi det er koblet til, eller på
annen måte avhengig av informasjons- og kommunikasjonsteknologi.
Begrepet IKT-sikkerhet brukes
i denne meldingen synonymt med begrepet
cybersikkerhet.

Dette kapitlet omhandler IKT-sikkerhet og digitale
sårbarheter i samfunnet. Forebyggende sikkerhet
etter sikkerhetsloven omtales særskilt i kapittel
14.

6.1 Utfordringer

Internett blir en stadig større del av hverdagen til
de fleste nordmenn, både hjemme og på jobb. Antall
tjenester som tilbys og antall enheter koblet til
internett øker kraftig. Samfunnets og virksomheters
evne til å utnytte internetts mulighetsrom
vil være en viktig del av fremtidig verdiskaping.
Det er en tydelig trend at offentlige virksomheter
i økende grad benytter internett for kritiske tjenester.
For eksempel vil innføringen av smarte
strømmålere gi forbrukere bedre informasjon om
strømforbruk og -priser, samt legge til rette for
nyttige tilleggstjenester. Samtidig vil innføringen
gjøre kraftsystemet mer eksponert for programvarefeil
og internettrelaterte trusler.

På mange områder har digitaliseringen bidratt
til et tryggere og mer sikkert samfunn. Mennesker
kan lettere komme i kontakt med hverandre
og få rask tilgang til informasjon. Moderne kommunikasjonsløsninger
muliggjør et bedre samarbeid
mellom nødetatene, slik at redningsaksjoner
blir mer effektive. Satellittbaserte tjenester gir oss
helt nye muligheter til å overvåke ustabile fjellmasser.

Digitaliseringen har medført at samfunnets risikobilde
har endret seg. Ingen sektorer, og få
land, kan i dag kontrollere sin digitale sårbarhet
alene.2 For eksempel kan svikt i telekommunikasjonsnettene
føre til at veitunneler må stenges og
at leger ikke får tilgang til pasientjournaler. I tillegg
driftes mange IKT-tjenester på tvers av landegrenser.

En stor andel uønskede hendelser som rammer
IKT-systemer er utilsiktet. Feil og utfall i IKTsystemer
kan skje på grunn av menneskelige feil,
programvarefeil, utstyrsfeil, som følge av naturhendelser,
eller en kombinasjon av disse. De
menneskelige feilene kan ofte relateres til mangelfull
kompetanse og forståelse av nettverk og
systemer, mangelfull sikkerhetskultur eller for
dårlig internkontroll.

Tilsiktede uønskede hendelser er et økende
problem. Dette er trusler som kan være krevende
å kartlegge, men som i ytterste konsekvens kan
utgjøre en trussel mot viktige norske interesser.
Målet til angriperne kan være å begå kriminalitet,
ødelegge eller endre informasjon eller funksjonalitet.
Det kan også være å skaffe seg informasjon
om stats- og forretningshemmeligheter, forskningsresultater
eller teknologiske nyvinninger fra
kommersielle bedrifter. Nettkrenkelser og IKTkriminalitet
skjer daglig. De kriminelle ferdes der
det er verdier å hente, problemstillingene er ofte
globale og risiko for straff og konsekvenser er lav.
Sett fra et stats- og samfunnssikkerhetsperspektiv
er den største trusselen de aktørene som [forts. s. 60]

1 Se f.eks: «The Globale Information Technology Report
2015», World Economic Forum.

2 NOU 2015: 13 Digital sårbarhet – sikkert samfunn.

s. 60:

har ressurser til å gjennomføre handlinger som vi
ikke oppdager, eller som oppdages for sent. I
denne kategorien finner vi blant annet statlige
aktører, særlig andre lands sikkerhets- og etterretningstjenester.
Disse aktørene legger stor vekt
på hemmelighold, søker seg mot våre svakeste
punkt, og aktiviteten deres kan være vanskelig å
oppdage, se boks 6.1.

Den nye teknologien har skapt store
endringer i hvordan befolkningen forvalter informasjon.
Informasjon om oss selv, vår kommunikasjon,
omgangskrets, reisevaner osv. blir oftere registrert,
krysskoblet og volumet øker. Dette utfordrer
vår evne til å skjerme informasjon. Dermed
utfordres også personvernet. IKT-sikkerhet er en
forutsetning for godt personvern. Behovet for å
øke befolkningens bevissthet omkring sikkerhetstrusler,
og øke vår brukerkompetanse blir stadig
mer aktuelt.

Boks 6.1 Strømbrudd i Ukraina

23. desember 2015 ble deler av Ukraina rammet
av et strømbrudd. Rundt 225 000 kunder
ble berørt. Årsaken skyldtes at en aktør ulovlig
fikk tilgang til det regionale kraftdistribusjonsselskapets
datamaskiner og styringssystemer.

Analyser av angrepet viser at det først ble
kartlagt e-postadresser til ansatte ved kraftverk/
distribusjonssentraler. Deretter ble det
sendt inn e-poster med skadevare. Noen mottakere
aktiverte skadevare som etter hvert ga
angriperen videre tilganger inn i kontrollsystemene.
Dette tok lang tid (ca. et halvt år). Etter
at angriperne hadde nødvendig kontroll,
utførte de sabotasje på kontrollsystemet slik at
strømforsyningen ble brutt. Det ble en omfattende
jobb å få systemet til å fungere igjen.
Det måtte settes inn personer på knutepunkter
for å manuelt kontrollere strømleveransen
og få tilbake strøm til forbrukerne.

Nasjonal sikkerhetsmyndighet (NSM),
Norges vassdrags- og energidirektorat (NVE)
og KraftCERT har samarbeidet tett om å innhente
informasjon og analysere hendelsen.
Dette for å vurdere om noe tilsvarende kunne
skjedd med det norske kraftnettet. Det er en
kjensgjerning at flere aktører aktivt kartlegger
norsk digital infrastruktur. Sommeren 2014
ble det blant annet gjennomført en omfattende
kartleggingskampanje mot flere virksomheter
innenfor kraft- og petroleumssektorene i
Norge. Fremgangsmåten for kampanjen var i
utgangspunktet lik som angrepet i Ukraina.
Kampanjen har blitt vurdert av NSM som en
alvorlig hendelse.

6.2 Regjeringens politikk

Trussel- og risikobildet viser at utfordringene stadig
oftere er tverrsektorielle. I denne meldingen
er særlig hovedanbefalingene fra Digitalt sårbarhetsutvalg
(Lysneutvalget) vurdert.3 Flere av utvalgets
anbefalinger retter seg mot sektorer som
er ansvarlige for kritisk infrastruktur og kritiske
samfunnsfunksjoner. Det enkelte departement er
ansvarlig for å vurdere tiltak innenfor egen sektor.
Justis- og beredskapsdepartementet vil i 2017
fremme en egen stortingsmelding om oppfølging
av Lysneutvalgets anbefalinger. En nærmere beskrivelse
av Lysneutvalget følger i kapittel 6.3.

Regjeringen vil:

– vurdere etablering av et nasjonalt regelverk
som gir enhetlig og tverrsektoriell regulering
på IKT-sikkerhetsområdet. Arbeidet vil sees i
sammenheng med EUs direktiv om tiltak for et
felles sikkerhetsnivå i nettverks- og informasjonssystemer
(NIS-direktivet), og vurderinger
fra Sikkerhetsutvalget

– utarbeide en ny nasjonal strategi for IKT-sikkerhet.
Strategien skal angi regjeringens mål
og strategiske prioriteringer innenfor IKT-sikkerhetsområdet.
I tillegg skal det utarbeides en
handlingsplan

– heve IKT-sikkerhetskompetansen i sektortilsynene.
Nasjonal sikkerhetsmyndighet (NSM)
skal etablere en fellesarena hvor sektortilsynene
kan samordne planlagte tilsynsaktiviteter
og drive erfaringsutveksling innenfor IKT-sikkerhet

– utvikle og vedlikeholde et godt og tilgjengelig
kunnskapsgrunnlag som gjør enkeltindivider,
virksomheter og myndigheter i stand til å treffe
riktige tiltak. For dette formålet skal blant annet
NSMs rapport Helhetlig IKT-risikobilde videreutvikles

– styrke IKT-sikkerheten i statsforvaltningen og
understøtte digitaliseringen av offentlig sektor

– videreutvikle den nasjonale evnen til å avdekke
og håndtere digitale angrep, ved å videreutvikle
varslingssystem for digital infrastruktur (VDI) og etablere et nasjonalt rammeverk for
digital hendelseshåndtering

– legge til rette for en langsiktig oppbygging av
IKT-sikkerhetskompetanse, gjennom å utarbeide
en nasjonal kompetansestrategi for IKTsikkerhet.
Tiltaket innebærer også bevisstgjøringsaktiviteter
rettet mot befolkningen og
virksomheter

– styrke sikkerheten og robustheten i elektroniske
kommunikasjonsnett (ekomnettene).
Nasjonal kommunikasjonsmyndighet (Nkom)
skal vurdere sårbarhetsreduserende tiltak
knyttet til avhengigheten av Telenors kjerneinfrastruktur,
og hvordan ulike transportnett
og utenlandsforbindelser kan kombineres for å
øke den samlede nasjonale kapasiteten og sikkerheten

– tydeliggjøre hvilke myndigheter som har ansvar
for sikkerheten innenfor norsk romvirksomhet.
De fleste samfunnskritiske funksjonene
avhenger av satellittbaserte tjenester, og
det er sentralt at sikkerhetsaspektet ivaretas

– revidere nasjonal kryptopolitikk. Kryptering
har stor betydning for IKT-sikkerhet og understøtter
sikker elektronisk kommunikasjon

– delta og bidra internasjonalt for å løse felles
problemstillinger innenfor IKT-sikkerhet på
tvers av nasjoner

– utarbeide stortingsmelding om oppfølging av
Lysneutvalgets anbefalinger med oversikt over
kortsiktige og langsiktige prioriteringer i oppfølgingsarbeidet,
samt status i berørte sektorer
Tiltakene vil bli nærmende beskrevet i punktene
6.5–6.9.

6.3 Kunnskapsgrunnlag

I den senere tid er det produsert flere analyser om
digitale sårbarheter. Disse tjener flere formål. De
bidrar til folkeopplysning og bevisstgjøring, men
også til å gi myndigheter og virksomhetsledere et
beslutningsgrunnlag for å utforme politikk og tiltak
for å redusere sårbarheter. I januar 2015 ga
forsvarsministeren og justis- og beredskapsministeren
NSM i oppdrag å utforme et sikkerhetsfaglig
råd. Dette var første gang et slikt oppdrag
har blitt gitt. Rådet omfatter tiltak innenfor det
forebyggende sikkerhetsarbeidet, også på IKTsikkerhetsfeltet.
NSM avga sitt råd i september
2015, som et faglig innspill til arbeidet med ny
langtidsplan for forsvarssektoren, samt denne
stortingsmeldingen.

I 2015 utarbeidet også NSM rapporten Helhetlig
IKT-risikobilde for første gang. Hensikten med
rapporten er å skape et felles situasjonsbilde som
gjør virksomheter og myndigheter i stand til å
treffe riktige tiltak. I tillegg skal den være et verktøy
for virksomheter i deres arbeid med å utarbeide
risikovurderinger. Rapporten utgis årlig.
NSM har fått i oppdrag å videreutvikle rapporten i
samarbeid med andre relevante virksomheter.

Eksempler på andre analyser er NorSIS’ årlige
rapport om trusler og trender som viser sikkerhetsutfordringer
som både enkeltpersoner og
samfunnet for øvrig må forholde seg til. I tillegg
utarbeides det årlige analyser av Politiets sikkerhetstjeneste
(PST), Etterretningstjenesten (E-tjenesten)
og Kripos. Ulike sektorers og virksomheters
risikoanalyser, evalueringer etter øvelser
og hendelser, forskning på området og vurderinger
fra privat næringsliv bidrar inn i den totale
oversikten. Analysene har noe ulik tilnærming og
ulike målgrupper, men ofte er det et gjennomgående
tema at utfordringene på IKT-sikkerhetsfeltet
er tverrsektorielle.

Sommeren 2014 nedsatte regjeringen et utvalg
for å kartlegge samfunnets digitale sårbarhet.
Den 30. november 2015 leverte Lysneutvalget sin
utredning til justis- og beredskapsministeren.4 Utvalget
foreslår flere tiltak for å styrke beredskapen
og redusere den digitale sårbarheten i samfunnet.

Utvalgets hovedanbefalinger er:

– redusere kritikaliteten av Telenors kjerneinfrastruktur
– sikre balansen mellom personvern og et sikrere
samfunn gjennom utredninger og offentlig
debatt
– bruk av kryptografi bør ikke reguleres
– styrke Justis- og beredskapsdepartementets
tverrsektorielle virkemidler på IKT-sikkerhetsområdet
– etablere et helhetlig rammeverk for digital hendelseshåndtering
– styrke politiets evne til å bekjempe IKT-kriminalitet
– tydeliggjøre et myndighetsansvar for norsk
romvirksomhet
– styrke IKT-sikkerhetskompetansen i flere sektortilsyn
– etablere en overordnet nasjonal kompetansestrategi
innenfor IKT-sikkerhet
Lysneutvalgets utredning har vært på offentlig
høring.5 Justis- og beredskapsdepartementet mottok
i underkant av 100 høringssvar fra et bredt spekter av virksomheter. Høringssvarene viser at
det er stor enighet om foreslåtte anbefalinger.
Dette gjelder særlig anbefalinger og foreslåtte tiltak
knyttet til IKT-sikkerhetskompetanse og håndtering
av digitale hendelser. Justis- og beredskapsdepartementet
vil i 2017 fremme en egen stortingsmelding
om oppfølgingen av Lysneutvalgets
anbefalinger.

6.4 Ansvar for IKT-sikkerhet

Roller og ansvar innenfor IKT-sikkerhet reguleres
av en rekke lover og forskrifter. IKT-sikkerhet er
først og fremst et virksomhetsansvar. Virksomhetsledere
er ansvarlig for å foreta risikovurderinger,
og på bakgrunn av dette gjennomføre tilstrekkelige
tiltak. I tillegg har hver enkelt statsråd et
overordnet ansvar for å ivareta IKT-sikkerheten i
egen sektor.

Justis- og beredskapsdepartementet har et
samordningsansvar for forebyggende IKT-sikkerhet
i sivil sektor.6 Departementet har i tillegg ansvar
for IKT-sikkerhet som faller inn under sikkerhetsloven
i sivil sektor,7 og et generelt samordningsansvar
for samfunnets sivile sikkerhet.8 Justis-
og beredskapsdepartementet har med dette et
samordningsansvar for IKT-sikkerhet i sivil sektor,
både innenfor og utenfor sikkerhetsloven.

Justis- og beredskapsdepartementet har det
nasjonale ansvaret for å utforme regjeringens politikk
for IKT-sikkerhet i sivil sektor, herunder å
etablere nasjonale krav og anbefalinger på IKTsikkerhetsområdet
for både offentlige og private
virksomheter. Krav skal i nødvendig grad være
hjemlet i lov og forskrift. Berørte fagdepartementer,
myndigheter og næringslivet skal involveres i
dette arbeidet.

Forsvarsdepartementet har ansvaret for IKTsikkerhet
i forsvarssektoren. Justis- og beredskapsdepartementet
skal involvere Forsvarsdepartementet
i saker innenfor sivil IKT-sikkerhet
som berører IKT-sikkerhet i forsvarssektoren, og
sammen med Forsvarsdepartementet bidra til at sivil-militære utfordringer og behov sees i sammenheng.

NSM er det nasjonale fagmiljøet innenfor IKTsikkerhet,
og er nasjonal varslings- og koordineringsinstans
for alvorlige dataangrep mot samfunnskritisk
infrastruktur eller andre viktige samfunnsfunksjoner.
NSM er underlagt Forsvarsdepartementet.
Justis- og beredskapsdepartementet
har instruksjonsmyndighet overfor NSM i saker
innenfor Justis- og beredskapsdepartementets ansvarsområde.

Kommunal- og moderniseringsdepartementet
har samordningsansvaret for regjeringens IKT-politikk.
Departementet har i tillegg et særskilt ansvar
for å arbeide for en styrket og mer helhetlig
tilnærming til IKT-sikkerhet i statsforvaltningen.
Digitaliseringsarbeidet i statsforvaltningen, og i
offentlig sektor som helhet, skal ivareta de føringer
som følger av den nasjonale IKT-sikkerhetspolitikken.
Kommunal- og moderniseringsdepartementet
skal, i samråd med Justis- og beredskapsdepartementet,
legge til rette for at digitaliseringen
i offentlig forvaltning og samfunnet for øvrig
skjer på en forsvarlig måte. Direktoratet for forvaltning
og IKT (Difi) understøtter Kommunal- og
moderniseringsdepartementet i deres arbeid med
å sikre at digitaliseringen av offentlig sektor ivaretar
nødvendige krav til IKT-sikkerhet.

Samferdselsdepartementet har ansvar for IKTsikkerheten
knyttet til elektroniske kommunikasjonsnett
og -tjenester, herunder internett. Nkom
har, som myndighetsorgan under Samferdselsdepartementet,
et særskilt ansvar knyttet til sikkerhet
og beredskap i elektroniske kommunikasjonsnett
og -tjenester.

Utenriksdepartementet har overordnet ansvar
for norsk utenriks- og sikkerhetspolitikk, herunder
å koordinere Norges innsats og posisjoner
på internasjonale arenaer hvor globale utfordringer
i det digitale rom diskuteres. Justis- og beredskapsdepartementet
skal, sammen med Utenriksdepartementet,
bidra til at internasjonalt arbeid på
IKT-sikkerhetsområdet blir håndtert godt på tvers
av departementsområder i sivil sektor.

Alle departementer i sivil sektor har ansvar for
å følge opp krav og anbefalinger gitt av Justis- og
beredskapsdepartementet for egen virksomhet og
i egen sektor. Departementene skal involvere
Justis- og beredskapsdepartementet i prosesser
hvor IKT-sikkerhetshensyn er av nasjonal betydning,
særlig ved større teknologiske og strukturelle
endringer i samfunnet.

Justis- og beredskapsdepartementet har en
sentral rolle i å videreutvikle sivile myndigheters
arbeid med IKT-sikkerhet og bruk av virkemidler for å møte endringer i trussel- og risikobildet. Det
er stilt spørsmål om rolle- og ansvarsdeling på
IKT-sikkerhetsområdet, eksempelvis i forbindelse
med medieoppslag om falske basestasjoner og saker
knyttet til bruk av utenlandske leverandører
til kritisk infrastruktur. Hensiktsmessige og sikre
kommunikasjonslinjer for både offentlige og private
virksomheter er en sentral problemstilling,
blant annet ved digital hendelseshåndtering. I
Lysneutvalgets utredning anbefales det blant annet
å avklare ansvarsforhold på departementsnivå
knyttet til graderte kommunikasjonsløsninger i
forvaltningen. Justis- og beredskapsdepartementet
arbeider kontinuerlig, sammen med relevante
virksomheter, for at rolle- og ansvarsforhold
på IKT-sikkerhetsområdet skal være mest mulig
avklart. Flere av tiltakene i denne meldingen omhandler
rolle- og ansvarsdeling.

6.5 Forebyggende IKT-sikkerhetsarbeid

Det er behov for en helhetlig og systematisk tilnærming
til arbeidet med forebyggende IKT-sikkerhet.
Arbeidet må tilpasses de forskjellige behovene
i det offentlige, næringslivet og til den enkelte
borger. Regjeringen vil arbeide for en bedre
samordning og felles situasjonsforståelse.

6.5.1 Tverrsektorielt regelverk

Norske virksomheter må forholde seg til ulike regelverk
om IKT-sikkerhet. Noen regelverk er sektorspesifikke,
mens andre er tverrsektorielle. Regelverkene
har til dels ulike formål og hensyn, og
benytter ofte ulike begrep og metoder.

Sikkerhetsloven gir blant annet bestemmelser
for håndtering av informasjon som skal beskyttes
av hensyn til rikets sikkerhet.9 Det finnes imidlertid
svært mye informasjon i ugraderte systemer
som også kan være sensitiv og samfunnsviktig, i
tillegg til at de ugraderte IKT-systemene i seg selv
kan være viktige. Sikkerhetshetsutvalget hadde
som en del av sitt mandat å identifisere eventuelle
behov for harmonisering av lovreguleringen
innenfor IKT-sikkerhetsfeltet. Utvalget skulle
også vurdere problemstillinger knyttet til beskyttelse
av informasjon i ugraderte IKT-systemer. Utvalget
leverte sin innstilling høsten 2016, se kapittel
14.2.

Boks 6.2 NIS-direktivet

Direktivet setter krav til medlemslandenes arbeid
med IKT-sikkerhet, til virksomheter som
leverer tjenester som er essensielle for det indre
markeds samfunnsmessige og økonomiske
aktiviteter (for eksempel strømforsyning)
og til tilbydere av enkelte digitale tjenester
(for eksempel skytjenester). EU-kommisjonen
har nedsatt en ekspertgruppe (NIS
Expert Group) som skal bistå med kompetanse
og råd i utarbeidelsen av sekundærregelverk
under NIS-direktivet. Norge har en
observatørrolle i NIS Expert Group.

I 2013 lanserte EU-kommisjonen EUs strategi
for cybersikkerhet. Som ett av flere tiltak for å nå
målene i strategien, lanserte EU-kommisjonen et
forslag til direktiv om tiltak for et felles sikkerhetsnivå
i nettverks- og informasjonssystemer i
EU (NIS-direktivet). Direktivet ble vedtatt i EU 6.
juli 2016. Justis- og beredskapsdepartementet har
ansvaret for å koordinere oppfølgingen av NIS-direktivet
i Norge, se boks 6.2.

Lovgivningen hva gjelder beskyttelse av
personopplysninger innenfor EU/EØS styrkes.
EUs nåværende personverndirektiv, som er gjennomført
i den norske personopplysningsloven, erstattes
av en forordning om behandling av personopplysninger.
Forordningen er EØS-relevant og
skal gjennomføres i norsk rett. Det legges opp til
at regelverket skal gjennomføres i Norge i 2018.
Dette vil kunne medføre endringer i norske regler
som inneholder spesifikke krav til informasjonssikkerhet
ved behandling av personopplysninger.
For eksempel innføres det i forordningen en plikt
til, på nærmere vilkår, å varsle tilsynsmyndigheten
innen 72 timer ved brudd på IKT-sikkerheten.
Dette gjelder der bruddet fører til tilintetgjørelse,
tap, endring, uautorisert videregivelse av eller adgang
til personopplysninger.

Regjeringen vil vurdere å etablere et nasjonalt
regelverk som gir enhetlig og tversektoriell regulering
innenfor IKT-sikkerhetsområdet. Arbeidet
vil sees i sammenheng med EUs NIS-direktiv, og
vurderinger fra Sikkerhetsutvalget. Det dreier seg
her om et regelverk utenfor sikkerhetslovens virkeområde.

Lysneutvalget peker i sin utredning på at kravene
til IKT-sikkerhet i offentlig sektor ofte er
funksjonsbaserte og med definerte overordnede
mål. Utvalget anbefaler at Justis- og beredskaps-departementet har en strategisk tilnærming til
hvordan de kan bidra i standardiseringsarbeidet.
Bruk av sikkerhetsstandarder kan effektivisere
arbeidet med IKT-sikkerhet. Det gir rammeverk
og retningslinjer å jobbe etter for virksomheter
som er innenfor beste praksis. I tillegg tilrettelegger
det for felles terminologi som igjen bidrar
til å forenkle samarbeid på tvers av sektorer. Samtidig
gir det myndigheter et verktøy for å vurdere
sikkerheten i virksomhetene. Difi anbefaler statsforvaltningen
å benytte ISO27001 og ISO27002
ved etablering av styringssystem for informasjonssikkerhet.
Justis- og beredskapsdepartementet vil
at Norge er til tilstede på internasjonale arenaer
der standarder innenfor IKT-sikkerhet utvikles.
Departementet har derfor gitt tilskudd til Standard
Norge for å styrke dette arbeidet.

6.5.2 Ny nasjonal strategi for IKT-sikkerhet

Et førende dokument for arbeidet med IKT-sikkerhet
er Nasjonal strategi for informasjonssikkerhet.
Strategien ble vedtatt i 2012. Den nasjonale
strategien angir prioriteringer for myndighetenes
arbeid og underbygges av en handlingsplan som
beskriver hvordan prioriteringene skal følges opp.
Nylig er det også satt mål for arbeidet med IKTsikkerhet
i Meld. St. 27 (2015–2016) Digital
agenda for Norge, i Prop. 151 S (2015–2016) Kampkraft
og bærekraft, samt i Handlingsplan for informasjonssikkerhet
i statsforvaltningen (2015–
2017).

Mye har endret seg siden 2012. Utbredelsen
av nye teknologier (eksempelvis skytjenester),
endrede brukervaner, betydningen av «tingens internett
» og digitaliseringen av samfunnet skaper
endrede sikkerhetsbehov. Samtidig har trusselog
risikobildet endret seg. Samfunnets økte avhengighet
til internett gir større muligheter for
vellykkede digitale angrep. Ulike lands myndigheter
etablerer forskjellige strategiske rammeverk
for å håndtere denne utviklingen. Strategiene
har ofte forskjellige innretninger og benytter ulike
definisjoner.

Til tross for dette er det likevel tre områder
som går igjen. Den første er privat-offentlig partnerskap.
Både infrastruktur og tjenester i det digitale
domenet er stort sett utviklet og forvaltet av
privat sektor. Dette kan ha mange positive sider,
også for sikkerheten. Innovasjon, investeringsevne
og fleksibilitet er forhold som gjør private
virksomheter godt egnet til å ivareta IKT-sikkerhetshensyn.
Samtidig forvalter offentlige virksomheter
viktig informasjon og utformer nasjonal politikk.
Det er viktig for offentlig og privat sektor å kunne samarbeide og dele informasjon. Et eksempel
er Ekomsikkerhetsforum der private ekomtilbydere
og sikkerhetsmyndigheter deler relevant
informasjon. Et annet eksempel er at NSM i 2017
vil utvikle en arena for erfaringsoverføring mellom
private og offentlige virksomheter knyttet til
råd og veiledning på IKT-sikkerhetsområdet.

Den andre fellesnevneren er internasjonalt
samarbeid. De fleste land påpeker at IKT-sikkerhetsrelaterte
problemer ikke kan løses av den enkelte
stat alene. Imidlertid er internasjonalt samarbeid
ofte vanskelig. En grunn til dette er at området
ligger tett opptil sikkerhetspolitikk. Deling
av informasjon mellom nasjoner må veies opp
imot behovet for konfidensialitet.

Den tredje fellesnevneren er at mange nasjoner
setter grunnleggende verdier som personvern,
ytringsfrihet og fri flyt av informasjon høyt.
Disse verdiene ligger som viktige underliggende
premisser i strategiene.

Regjeringen vil utarbeide en ny nasjonal strategi
for IKT-sikkerhet. Strategien skal angi regjeringens
mål og strategiske prioriteringer innenfor
IKT-sikkerhet. I tillegg skal det utarbeides en
handlingsplan med konkrete tiltak. Justis- og beredskapsdepartementet
og Forsvarsdepartementet
vil lede arbeidet. Berørte fagdepartementer,
etater og myndigheter skal inkluderes i utviklingen
av strategien, og konkrete tiltak i denne. Berørte
parter i akademia og privat sektor vil også
bli involvert i arbeidet. I den grad tiltak krever utgiftsøkninger
over statsbudsjettet, vil regjeringen
komme tilbake til dette i forbindelse med de årlige
budsjettforslagene.

6.5.3 Tilsyn på IKT-sikkerhetsområdet

Flere statlige tilsyn har i oppgave å evaluere IKTsikkerhetstilstanden
i virksomhetene. De fleste av
disse er sektorspesifikke og kontrollerer, innenfor
rammene av sine tilsynshjemler, at virksomhetene
har et styringssystem eller et internkontrollsystem
på plass. God sektorkunnskap er i mange tilfeller
nødvendig for å kunne utføre et målrettet og
effektivt tilsyn med IKT-sikkerhet.

IKT-sikkerhet og vektleggingen av risiko knyttet
til IKT kan være en faglig utfordring i flere sektorer
og for enkelte sektortilsyn. Flere av tilsynsmyndighetene
trenger å bygge opp ytterligere
kompetanse for å kunne føre fullverdige tilsyn og
drive god veiledning med IKT-sikkerhet i sin sektor.
Dette vil ta tid. Samtidig er det uklart om det
finnes tilstrekkelig kompetanse til at alle tilsynsorgan
kan bygge opp egne IKT-sikkerhetsmiljøer.

NSM vil i 2017 arbeide med å etablere en
fellesarena hvor sektortilsynene kan samordne
planlagte tilsynsaktiviteter og drive erfaringsutveksling
innenfor IKT-sikkerhet. Som del av arbeidet
skal NSM, sammen med sektortilsynene,
vurdere å etablere en sentral kapasitet med IKTsikkerhetskompetanse
som skal benyttes som en
ressurs for tilsynsmyndighetene. Denne sentrale
kapasiteten kan bestå av personer fra tilsynene, og
det kan også vurderes om det finnes kommersielle
tilbud som kan avhjelpe en eventuell kompetansemangel.

Regjeringen vil styrke NSMs evne til å føre tilsyn
med tekniske IKT-sikkerhetstiltak innenfor
sikkerhetsloven. NSM skal også videreutvikle metodikk
og verktøy for sine IKT-sikkerhetstilsyn.

6.5.4 IKT-sikkerhet i statsforvaltningen

Digital kommunikasjon skal være hovedregelen
for kommunikasjon i og med forvaltningen. Befolkningen,
næringslivet og forvaltningen selv
skal ha tillit til at digitale tjenester i statlig sektor
er sikre og pålitelige. Eksempelvis benyttes flere
statlige registre som grunnlag for tjenester som
leveres av kommersielle virksomheter.

Risikostyring er kjernen i alt arbeid med IKTsikkerhet
i statsforvaltningen. Virksomhetene i
statsforvaltningen skal ha god risikoforståelse og
arbeide systematisk med risikovurderinger. IKTsikkerhet
skal være en del av ethvert digitaliseringsprosjekt
i statsforvaltningen fra starten, og i
hele systemets livssyklus. IKT-sikkerhet skal også
være en del av virksomhetsstyringen, og et tema
som ansatte ut fra sin rolle, skal ha et kjennskap
til.

I september 2015 la Kommunal- og moderniseringsdepartementet
frem Handlingsplan for informasjonssikkerhet
i statsforvaltningen (2015–
2017). Målet med handlingsplanen er å styrke
sikkerheten i statsforvaltningen, og gi digitaliseringsarbeidet
i offentlig sektor økt kvalitet. Difi
skal fungere som en tilrettelegger, koordinator og
pådriver innenfor de utvalgte tiltaksområdene.

For å skape en felles tilnærming til IKT-sikkerhet
i statsforvaltningen må fagmyndigheter gi anbefalinger
som er koordinerte. For eksempel møtes
Justis- og beredskapsdepartementet, Kommunal-
og moderniseringsdepartementet, NSM og
Difi jevnlig for å samordne innsatsen, og dra nytte
av hverandres kompetanse.

Når handlingsplanen utløper i 2017 vil Kommunal-
og moderniseringsdepartementet, i samarbeid
med Justis- og beredskapsdepartementet,
vurdere hvordan IKT-sikkerhetsarbeidet i statsforvaltningen bør utvikles og følges opp videre.
Dette vil bli omtalt nærmere i ny nasjonal strategi
for IKT-sikkerhet. Kommunal- og moderniseringsdepartementet
vil også evaluere Difis virkemiddelapparat
for å sikre at direktoratets innsats
fungerer etter hensikten.

6.6 Samfunnets samlede evne til å
avdekke og håndtere digitale
angrep

Tilsiktede uønskede handlinger mot IKT-infrastruktur
omfatter alt fra ungdomsstreker til avanserte
målrettede angrep fra andre stater. De som
angriper har ulike motiver for sine handlinger, og
metodene som benyttes varierer. For å være godt
rustet mot et større digitalt angrep må roller og
ansvar mellom aktørene være avklart, virksomheter
må ha tilstrekkelig kompetanse og kapasitet,
og de må evne å samvirke.

6.6.1 Avdekke digitale angrep

Evnen til å oppdage digitale angrep avhenger av et
samspill mellom myndigheter, sektormiljøer og
offentlige og private virksomheter, samt mellom
militære og sivile aktører. NSM er ansvarlig for å
organisere og drifte et nasjonalt varslingssystem
for digital infrastruktur (VDI). VDI er et nettverk
av sensorer som er plassert hos både offentlige og
private virksomheter som eier kritisk infrastruktur.
VDI er i dag et av de viktigste verktøyene norske
myndigheter har til å avdekke digitale angrep
mot norsk kritisk infrastruktur.

Evnen til å avdekke angrep gjennom VDI bedres
gjennom utveksling av informasjon med nasjonale
og internasjonale samarbeidspartnere. Utvikling
av nye deteksjonsteknologier foregår kontinuerlig
for å kunne møte endringer i trussel- og
risikobildet, særlig knyttet til trusselaktørers evner.
Regjeringen foreslo i Prop. 151 S (2015–2016)
Kampkraft og bærekraft, at NSM i langtidsperioden
skal forbedre sin evne til å avdekke og analysere
alvorlige digitale angrep, blant annet gjennom
å oppgradere sensorteknologien i VDI.

Deltakeravgift fra private virksomheter inngår
som del av finansieringen av VDI. Tilknytning til
VDI er basert på frivillighet, og tilbys etter en nærmere
vurdering av virksomhetens betydning for
kritisk infrastruktur. Det er derfor ikke gitt at
VDI-sensorer er utplassert der det er størst behov.
Regjeringen vil derfor utrede fremtidige finansieringsløsninger
for VDI.

Global kommunikasjon endres med stor hastighet.
Mesteparten av den digitale tele- og datatrafikken
inn og ut av Norge formidles i høyhastighets
fiberforbindelser. Lysne II-utvalget har i
sin utredning vurdert spørsmålet om tilgang til
denne trafikken («digitalt grenseforsvar»). Utredningen
ble overlevert forsvarsministeren 5. september
2016. Utredningen er sendt på offentlig
høring med frist 6. januar 2017.

6.6.2 Håndtere digitale angrep

Digital hendelseshåndtering er en prosess for å
identifisere og respondere på en IKT-sikkerhetshendelse.
Digital hendelseshåndtering involverer
mange aktører. Alle virksomheter har et selvstendig
ansvar for å identifisere egne verdier og sårbarheter,
gjennomføre nødvendige risikovurderinger
og etablere en tilstrekkelig robusthet til å
kunne håndtere digitale angrep.

NSM NorCERT10 er ansvarlig for å koordinere
håndteringen av alvorlige digitale angrep
mot samfunnskritisk infrastruktur eller andre viktige
samfunnsfunksjoner. NSM er styrket i de senere år for å ivareta denne oppgaven. NSM Nor-
CERT er nylig forankret i sikkerhetsloven.11 I lys
av det samlede trussel- og risikobildet er behovet
for støtte til håndtering av digitale hendelser adskillig
mer omfattende enn behovet NSM Nor-
CERT kan og skal dekke. Se boks 6.3 om bruk av
kommersielle tredjeparter i håndtering av digitale
angrep.

For å sikre at alle relevante aktører mottar korrekt
varslingsinformasjon og settes i stand til å
gjøre nødvendige tiltak har myndighetene besluttet
at det etableres sektorvise responsmiljøer.12
Miljøene skal ha oversikt over egen sektor, være
informasjonsknutepunkt for alle relevante virksomheter
og være sektorens bindeledd mot NSM
NorCERT. Se figur 6.2 for kommunikasjonslinjer
mellom NSM NorCERT, sektorvise responsmiljøer
og virksomheter.

Flere sektorer har så langt ikke etablert egne
responsmiljøer. I noen tilfeller skyldes dette manglende
finansiering eller begrenset tilgang på rele-vant kompetanse. I andre tilfeller skyldes dette at
ikke alle virksomheter har en sterk og naturlig tilhørighet
i én sektor, og derfor har etablert løsninger
tilpasset egen virksomhet og utfordringsbilde.

I de sektorene som har etablert sektorvise responsmiljøer,
har miljøene ulik myndighetsforankring
og finansiering. For eksempel har enkelte
private initiativ medført etablering av responsmiljøer
som ikke dekker hele sektorer.
Dette kan skape uklarheter i dialogen med NSM
NorCERT. Samtidig bidrar de private initiativene
blant annet med viktig informasjon om sårbarheter
og trusler til de som deltar i samarbeidet.

NSM samarbeider med E-tjenesten og PST i
Cyberkoordineringsgruppen (CKG). Gruppen
fremskaffer informasjon og beslutningsgrunnlag
til den operative og strategiske ledelsen om trusler
og sårbarheter i det digitale rom. CKG ledes av
NSM. CKG har også etablert informasjonsutveksling
med sentrale virksomheter, herunder Forsvaret
og politiet (Kripos). Samtidig kan CKG utvides
med representanter fra andre relevante aktører
ved behov.

Boks 6.3 Bruk av kommersielle
tredjeparter i håndtering av digitale
angrep

NSM har etablert et pilotprosjekt for en kvalitetsordning
rettet mot kommersielle tjenesteleverandører
innenfor digital hendelseshåndtering.
I ordningen vil NSM vurdere de faglige
kvalifikasjonene hos tredjeparter som skal
kunne bistå med hendelseshåndtering utenfor
NSM NorCERTs ansvarsområde. Innføring av
ordningen vil over tid kunne gi en økt profesjonalisering
av tjenesteleverandørene, og
heve nivået på tjenestene som utføres. NSM
og sektorvise responsmiljøer vil da kunne
henvise virksomheter til kommersielle virksomheter
som oppfyller definerte faglige kriterier

Høsten 2016 fikk NSM, PST og E-tjenesten i
oppdrag å videreutvikle CKG-samarbeidet til et
felles cyberkoordineringssenter. En samlokalisering
av tjenestenes samarbeidsressurser på området
vil legge til rette for tettere samarbeid mellom
tjenestene. Med dette etableres et permanent fagmiljø
som vil bidra til å øke den nasjonale evnen til
å motstå alvorlige digitale angrep.

Politiet har en sentral rolle knyttet til å håndtere
hendelser ved krise. Politiet besitter fullmakter
til å nedlegge forbud, gi pålegg, uskadeliggjøre
farlige gjenstander og treffe andre tiltak når dette
er nødvendig. Disse fullmaktene gjelder uavhengig
av mistanke om straffbare forhold og vil være
relevante for å forhindre eller redusere skade
også ved digitale angrep. Justis- og beredskapsdepartementet
utarbeidet i 2015 en strategi for å bekjempe
IKT-kriminalitet, se kapittel 8.5 for en nærmere
beskrivelse av arbeidet for å bekjempe IKTkriminalitet.

Forsvarsdepartementet og Justis- og beredskapsdepartementet
har igangsatt et arbeid for å
videreutvikle samarbeidet mellom politiet, PST,
NSM og E-tjenesten i takt med utviklingen på IKTkriminalitetsområdet.

Relevante scenarier for digitale angrep viser
en økende grad av målrettede angrep mot enkeltsektorer.
En modell for hendelseshåndtering der
personell med relevant kompetanse bistår den utsatte
sektoren, vil bli vurdert.13

Nasjonalt rammeverk for håndtering av digitale
hendelser

Det er et forbedringspotensial hos en rekke aktører
med hensyn til kompetanse, kapasitet og samvirke
ved digital hendelseshåndtering. Justis- og
beredskapsdepartementet har derfor startet arbeidet
med et nasjonalt rammeverk for håndtering
av digitale angrep. Formålet med rammeverket er
å avklare og tydeliggjøre ansvaret og innsatsen til
relevante aktører ved et digitalt angrep. En rekke
private og offentlige virksomheter bidrar inn i arbeidet.

De sektorvise responsmiljøene er en viktig del
av det nasjonale rammeverket for digital hendelseshåndtering.
Rammeverket skal vise hvilken
bistand som kan forventes av NSM NorCERT, og
hva som forventes at den enkelte sektor og virksomhet
selv skal kunne håndtere. Politiets rolle
og ansvar ved digitale angrep vil beskrives som
del av arbeidet med rammeverket. I tillegg skal
rammeverket beskrive hvordan kommersielle aktørers kompetanse kan nyttiggjøres ved håndtering
av digitale angrep.

En hensiktsmessig håndtering er avhengig av
tidseffektive kommunikasjonsløsninger for varsling
og informasjonsdeling mellom relevante aktører,
både på ugraderte og graderte nivå. Aktørene
må ha et felles situasjonsbilde. Rammeverket skal
derfor beskrive rutiner for varsling og informasjonsdeling,
og etablere et enhetlig begrepsapparat.
Rammeverket skal være avstemt med det ordinære,
nasjonale krisehåndteringsapparatet og det
nasjonale beredskapsplanverket.

Første utkast av rammeverket ble øvet under
den nasjonale IKT-øvelsen i november 2016, se
boks 6.4. Regjeringen vil bruke erfaringer fra
øvelsen til å videreutvikle evnen til å håndtere digitale
angrep. Arbeidet med rammeverket skal
ferdigstilles innen utgangen av 2017, og oppdateres
ved behov.

6.7 IKT-sikkerhetskompetanse

IKT som fag, og som muliggjørende teknologi, er
i en rivende utvikling. God tilgang på avansert
IKT-kompetanse, herunder IKT-sikkerhetskompetanse,
er derfor av avgjørende betydning både
for samfunnsutviklingen og for samfunnssikker-heten.

6.7.1 Forskning og utdanning

Norge har et økende behov for arbeidskraft og
kompetanse på IKT-sikkerhetsområdet. Både utdanningskapasiteten
(fra bachelor- til doktorgrad)
og forskningsinnsatsen, har de siste årene vært
for lav til å dekke behovet. Dette fremgår blant annet
av Nasjonal strategi for IKT-forskning og -utvikling
(2013–2022), hvor IKT-sikkerhet blir trukket
frem som en viktig samfunnsutfordring.

Utdanningskapasiteten for realfag, teknologi
og IKT har imidlertid økt de siste årene. Etablering
av nye studietilbud, bedre søkning og opptak
av flere studenter vil gradvis bidra til flere
kandidater. I forbindelse med behandlingen av revidert
nasjonalbudsjett 2016, ble det satt av midler
til 430 nye studieplasser der IKT var særlig prioritert.
I denne sammenhengen ble det øremerket
midler til 65 fire-årige studieplasser innenfor IKTsikkerhet.
Fullt utbygget vil tilbudet utgjøre 260
studieplasser.

I tillegg har enkelte utdanningsinstitusjoner
lagt inn emner om IKT-sikkerhet som del av IKTutdanningen
eller ingeniørutdanningen, slik Lysneutvalget
tilrådde. Meld. St. 27 (2015–2016) Digital
agenda for Norge viser til flere tiltak som kan
bidra til økt kvalitet og mer spesialiserte tilbud
innenfor IKT. Eksempler på dette er strukturreformen,
samarbeid mellom utdannings- og
forskningsinstitusjoner og virksomheter, og ordningen
med nærings ph.d og offentlig sektor ph.d
i regi av Norges forskningsråd.

Det utdannes i dag få kandidater i Norge med
nødvendig kompetanse til å forske på høyt internasjonalt
nivå. Det er også få nordmenn som tar
doktorgradsutdanning innenfor IKT-sikkerhet.
Det medfører utfordringer for virksomheter med
behov for sikkerhetsklarerte personer med spesialistkompetanse.
Regjeringen har økt antallet rekrutteringsstillinger
til realfag og teknologi. I
statsbudsjettet for 2017 er det øremerket midler til
8 til 12 nye rekrutteringsstillinger til IKT-sikkerhet.

Flere forskere og gode forskningsmiljøer er
viktig av flere grunner. Forskning bidrar til innovasjon,
sikkerhet i nye produkter og ny kunnskap.
Gode forskningsmiljøer bidrar til forskningsbasert
utdanning og økt veiledningskapasitet. Bedre
kvalitet i utdanning vil kvalifisere flere norske til
ph.d. Det er også viktig med et visst volum, både
på antall forskere og forskningsmidler, for at det
skal bli høy kvalitet på forskningsmiljøene. Se
boks 6.5 for eksempler på samarbeidsinitiativ mellom
forskning og arbeidsliv på IKT-sikkerhetsområdet.

Boks 6.5 Samarbeidsinitiativ

Et sentralt samarbeidsinitiativ i Norge er Center
for Cyber and Information Security (CCIS)
ved NTNU. CCIS er etablert av virksomheter
innenfor politi, Forsvaret, samfunnssikkerhet,
næringsliv, personvern og akademia. CCIS arbeider
blant annet for å øke samfunnets kunnskapsbehov
for IKT-sikkerhet og bekjempelse
av IKT-kriminalitet. Eksempler på andre
viktige initiativ er forskningssentrene Robuste
nett (CRNA) hos Simula og det nystartede Simula@
UiB som er et felles prosjekt mellom Simulasenteret
og Universitetet i Bergen.

I 2015 lanserte Norges forskningsråd IKTPLUSS.
IKTPLUSS er forskningsrådets store satsing
på IKT-forskning og -innovasjon. IKTPLUSS
gir verdifull støtte til forskningsprosjekter, og bidro
i 2015 med 150 millioner kroner til prosjekter
innenfor IKT-sikkerhet. Å bygge norske forskningsmiljøer
innen IKT-sikkerhet gir også grunnlag
for norsk deltakelse i internasjonale program.

Norge bidrar også med store midler til Horisont
2020 som er EUs forsknings- og innovasjonsprogram.
Med et budsjett på 70 milliarder euro for
perioden 2014–2020 regnes programmet for verdens
største. Norges forskningsråd følger programmet
og bidrar aktivt for å støtte norske
forskningsmiljøer i søknadsprosessen. I juli 2016
lanserte også EU-kommisjonen et offentlig-privat
samarbeid for å etablere en strategisk europeisk
forsknings- og innovasjonsagenda for IKT-sikkerhet.
European Cyber Security Organisation mottar
finansiering fra Horisont 2020, og er åpen for
organisasjoner fra blant annet EUs medlemsland
og EFTA/EØS-landene.

For å legge til rette for en langsiktig oppbygging
av IKT-sikkerhetskompetanse vil regjeringen
utarbeide en nasjonal kompetansestrategi for IKTsikkerhet.
Strategien skal blant annet vurdere behovet
for studieplasser, forskningssatsning og tiltak
i regi av virksomheter og utdanningsinstitusjoner
for å stimulere til doktorgradsstudier. Utdanning
innenfor fagområder som er av strategisk betydning
for nasjonal sikkerhet vil spesielt vektlegges.
Det samme skal tiltak knyttet til livslang
læring, slik som programmering i grunnskolen og
muligheter for videreutdanning innenfor IKT-sikkerhet
for yrkesaktive. Dette arbeidet skal sees i
sammenheng med de varslede tiltak knyttet til
IKT-kompetanse som følger av Meld. St. 27 (2015–2016) Digital agenda for Norge. I den grad
tiltak krever utgiftsøkninger over statsbudsjettet,
vil regjeringen komme tilbake til dette i forbindelse
med de årlige budsjettforslagene.

6.7.2 IKT-sikkerhetskultur

Den nye teknologien har skapt store endringer i
hvordan folk behandler informasjon, og hvordan
vi har gjort oss avhengige av at nettjenester er tilgjengelig
til enhver tid. Behovet for å øke befolkningens
bevissthet omkring sikkerhetstrusler,
samt øke deres brukerkompetanse blir også stadig
mer aktuelt, da uvettig brukeratferd kan få
konsekvenser for andre. Våre verdier, holdninger,
meninger, kunnskaper og handlinger knyttet til
sikkerheten i det digitale rom kan oppsummeres i
begrepet IKT-sikkerhetskultur.

Det digitale risikobildet er komplekst og i stadig
endring, og det er krevende for folk flest å bedømme
risiko korrekt til enhver tid. NorSIS gjennomførte
i 2016 en undersøkelse for å kartlegge
og måle sikkerhetskultur på individnivå blant innbyggere
og i virksomheter.14 Undersøkelsen konkluderer
blant annet med at det er lav tillit til politiets
kriminalitetsbekjempelse på nett. Videre viser
undersøkelsen at befolkningen ikke utdannes
i informasjonssikkerhet selv om digitaliseringen
tilsier at kunnskapsnivået bør økes. Se boks 6.6
om beskrivelse av NorSIS.

Det videre arbeidet med ny nasjonal strategi
for IKT-sikkerhet og ny kompetansestrategi skal
foreslå tiltak for å bevisstgjøre befolkningen og
virksomheter om IKT-sikkerhetsspørsmål. Betydningen
av kompetanse og en god sikkerhetskultur
er også adressert i kapitlet 11.

6.8 Sikkerhet i IKT-infrastrukturen

En rekke grunnleggende funksjoner i samfunnet
forutsetter at man har en IKT-infrastruktur som
virker nær sagt over alt og hele tiden. Denne infrastrukturen
må være robust og pålitelig slik at uønskede
hendelser i størst mulig grad unngås, samtidig
som man raskt må kunne gjenopprette til en
normalsituasjon ved en uønsket hendelse. Vi må
også være i stand til å sikre at uvedkommende
ikke får tilgang til informasjonen som formidles
gjennom slik infrastruktur.

Boks 6.6 NorSIS

NorSIS (Norsk senter for informasjonssikring)
er en uavhengig organisasjon som arbeider
for økt kunnskap om, og forståelse for, informasjonssikkerhet.
NorSIS mottar økonomisk
støtte fra Justis- og beredskapsdepartementet,
og er en del av myndighetenes nasjonale
satsing på informasjonssikkerhet.

En viktig oppgave for NorSIS er å gi råd og
veiledning til befolkningen, bedrifter og offentlige
virksomheter. Det største enkeltstående
tiltaket er Nasjonal sikkerhetsmåned.
Dette er en årlig, nasjonal dugnad for å skape
oppmerksomhet om informasjonssikkerhet
som er relevant for både virksomheter og privatpersoner.
I 2016 fikk 420 000 ansatte tilgang
til e-læring under sikkerhetsmåneden. Dette
er en økning på nesten 60 000 fra 2015. I tillegg
ble det holdt en rekke sikkerhetsrelaterte
foredrag rundt omkring i Norge.

NorSIS har utarbeidet flere veiledere som
retter seg mot private virksomheter. NorSIS
samarbeider blant annet med NSM og Nkom
om nettvett.no. NorSIS drifter og har redaktøransvaret
for tjenesten, mens NSM og Nkom
bidrar til videreutvikling og finansiering.

6.8.1 Robusthet i ekominfrastrukturen

Lysneutvalget trekker frem den nasjonale infrastrukturen
for elektronisk kommunikasjon som
en komponent som inngår i nær sagt alle digitale
verdikjeder. Denne utgjør derfor en kritisk sårbarhet
i samfunnet. Det meste av våre digitale tjenester
leveres over elektroniske kommunikasjonsnett,
og bortfall vil kunne få store konsekvenser
for samfunnet og den enkelte. Forsvarets militære
kommunikasjonslinjer er i økende grad basert på
sivile nett.15 Også Nødnett er avhengig av denne
infrastrukturen.

De fleste sivile nett er avhengige av Telenors
kjernenett. Broadnet og Altibox har noe landsdekkende
(og i stor grad uavhengige) nett, men bortfall
av Telenors kjernenett vil få store konsekvenser.
Lysneutvalget har fremhevet at avhengigheten
av denne ene aktøren er en sårbarhet som bør
reduseres. Utvalget går inn for at minst én annen aktør bygger opp et kjernenett med de samme
kvalitetene.

Selv om Telenors kjernenett bygges og driftes
med en meget høy grad av sikkerhet, og over tid
har vist stor pålitelighet, representerer avhengigheten
til en enkeltaktørs nett en sårbarhet som
bør håndteres. Regjeringen vil at Norge skal ha et
sterkt og robust ekomnett, og er opptatt av å gjøre
noe med denne sårbarheten.

Regjeringens nasjonale plan for elektronisk
kommunikasjon (ekomplanen)16 støtter vurderingene
fra Lysneutvalget og peker retning for hvordan
regjeringen skal håndtere utfordringene
fremover. Regjeringen og ekomtilbyderne gjennomfører
for tiden flere tiltak for å styrke sikkerheten
og robustheten i de norske ekomnettene.
Regulatoriske krav og veiledning er sentralt i arbeidet.
I tillegg er ekomtilbyderne pålagt å bygge
ut reservestrøm i mobilnettene og staten bidrar til
å etablere ekstra forsterkede mobilsendere i utsatte
kommuner.

I tråd med anbefalingene fra Lysneutvalget og
oppfølging av ekomplanen skal Nkom vurdere
sårbarhetsreduserende tiltak knyttet til avhengigheten
av Telenors kjerneinfrastruktur, og hvordan
ulike transportnett og utenlandsforbindelser kan
kombineres for å øke den samlede nasjonale kapasiteten
og sikkerheten. Vurderingene vil være
grunnlag for regjeringens arbeid med å styrke sikkerheten
og robustheten i ekomnettene. I den
grad tiltak krever utgiftsøkninger over statsbudsjettet,
vil regjeringen komme tilbake til dette i
forbindelse med de årlige budsjettforslagene.

Samfunnskritiske virksomheter og etater må
stille krav til sikkerhet og robusthet i sine kjøp av
elektroniske kommunikasjonstjenester. Dette vil
igjen være med på å heve sikkerheten for alle
ekombrukere. I ekomplanen får Nkom mandat til
å veilede forvaltningen i kjøp av sikre og robuste
ekomtjenester. Nkom har allerede laget en veileder
for kommunenes kjøp av ekomtjenester og vil
følge opp med veiledning for andre aktører med
samfunnskritiske oppgaver.

For å møte krav til kapasitetsøkning, sikkerhet
og robusthet i ekomnettene i en tid med økt internasjonalisering
av nett og tjenester, vil det være et
økende kommersielt behov for uavhengige robuste
sambandslinjer mellom Norge og utlandet.
Regjeringen arbeider for økt kapasitet ut av landet
for å møte behovet. Økt kapasitet og flere alternative
føringer til utlandet vil også kunne stimulere
til næringsutvikling som for eksempel skybaserte
tjenester og datasenterdrift i Norge.

Bruk av elektronisk kommunikasjon gir informasjon
om en rekke forhold som berører den enkeltes
private sfære og personlige integritet, slik
som geografisk bevegelsesmønster, kontaktnett,
osv. Presset om å få tilgang til denne typen data
øker også etterhvert som den kommersielle bruken
av såkalt stordata øker. Dagens kommunikasjonsvern17
er bra i Norge, men ny teknologi, nye
tjenester og forretningsmodeller utfordrer regelverket.
Ekomtjenester produseres i økende grad i
datasentre utenfor norsk territorium. Norsk regulering
er derfor ikke alltid tilstrekkelig dersom en
ønsker å gjennomføre tiltak for å ivareta personvernet
og kommunikasjonsvernet til den enkelte
bruker i Norge. Regjeringen vil at Norge skal fortsette
å arbeide internasjonalt for å fremme gode
løsninger som ivaretar norske brukere.

6.8.2 Satellittbaserte tjenester

De fleste samfunnskritiske funksjoner avhenger
av satellittbaserte tjenester. Værvarsling, kraftforsyning,
maritim trafikk, TV-overføringer, finanstransaksjoner,
oljevernberedskap og redningsoppdrag
benytter tjenester som i ulik grad er avhengig
av signaler eller data fra satellitter. Satellittbaserte
tjenester er viktig i de fleste menneskers
daglige liv. Tap av tilgang kan være kritisk for etaters
myndighetsutøvelse, for krisekommunikasjon,
for drift av kritisk infrastruktur og tidlig varsling.
Svikt i tilgangen til satellittbaserte tjenester
kan i ytterste konsekvens få betydning for statssikkerheten
og evnen til å drive militære operasjoner.

Lysneutvalgets fremhever at ansvarsforholdene
knyttet til sikkerhetsutfordringene innenfor
norsk romvirksomhet synes å være fragmentert.
Reguleringen av romvirksomheten er hjemlet i
ulike lover og regelverk. Ansvaret for oppfølging
av romsektoren er desentralisert, og samordningen
av sikkerhetsutfordringene på tvers av sektorer
kan bli bedre. Virksomheten er svært internasjonal,
og Norge har ansvar og forpliktelser gjennom
internasjonale avtaler. Store deler av infrastrukturen
og tjenestene er eid eller kontrollert av
norske og utenlandske private selskaper. Se boks [forts. s.72]

17 Kommunikasjonsvern som begrep omfatter rettslig og faktisk
beskyttelse av informasjon i transitt, på vei fra et sted
til et annet. Begrepet omfatter også opplysninger om slik
informasjon eller kommunikasjon, såkalte metadata. Kommunikasjonsvernet
er ofte ansett som en del av det videre
begrepet personvern, siden man vanskelig kan tenke seg et
effektivt personvern uten at også kommunikasjonen mellom
to eller flere parter kan være fortrolig.

s. 72:

6.7 om norges engasjement knyttet til sikkerhet i
Galileo-programmet.

Det er nødvendig å vurdere både den overordnede
reguleringen og kravene til sikkerhetsarbeid
innenfor dette området. Målsetningen er å øke bevisstheten
om sårbarheter og risiko knyttet til
romvirksomhet, og bidra til å identifisere avhengigheter
på tvers av sektorer. Regjeringen vil tydeliggjøre
hvilke myndigheter som har ansvar for
sikkerheten innenfor norsk romvirksomhet. Dette
vil gjøres gjennom arbeidet med regjeringens
romstrategi som utgis i 2017.

6.8.3 Revidere nasjonal kryptopolitikk

Kryptografi er teknikker som skal sikre informasjonens
opphav, hindre innsyn og avdekke endring.
Kryptering har stor betydning for IKT-sikkerhet
og er en forutsetning for sikker elektronisk
kommunikasjon.

Det er en langsiktig prosess å bygge opp kompetanse-
og forskningsmiljøer, og kunnskapen må
vedlikeholdes dersom den skal være relevant. Det
er behov for en gjennomgående utvikling av nasjonal
kryptokompetanse både innenfor akademia,
industri og offentlig sektor. Uten kompetente nasjonale
fagmiljøer vil norske myndigheter og bedrifter
måtte forholde seg til utenlandske aktører
for å innhente kvalifiserte vurderinger og råd om
kryptografiske systemer. Dette vil være uheldig
sett fra et nasjonalt sikkerhetsperspektiv.

«Norsk kryptopolitikk» utgitt av det daværende
Nærings- og handelsdepartementet i 2001
inneholder en rekke anbefalinger for utarbeidelse
av en nasjonal kryptopolitikk, blant annet for å understøtte
personvern og ytringsfrihet, utvikling av
en nasjonal kryptoindustri, vitale nasjonale sikkerhetsinteresser
og effektiv, elektronisk forvaltning.

Forsvarsdepartementet og NSM har vært viktige
premissleverandører for oppfølgingen av strategien
når det gjelder å sikre vitale nasjonale sikkerhetsinteresser.
NSM foreslår i Sikkerhetsfaglig
råd å videreutvikle en nasjonal kryptopolitikk.

For å bidra til å sikre nødvendig nasjonal
kryptokompetanse og stimulere til innovasjon og
produktutvikling, vil Forsvarsdepartementet og
Justis- og beredskapsdepartementet revidere nasjonal
kryptopolitikk

6.9 Internasjonalt samarbeid

Internasjonalt samarbeid er viktig både for utviklingen
av globale retningslinjer og for konkrete tiltak
for å redusere og bekjempe trusler i det digitale
rom. Det inkluderer utviklingen av normer for
statlig opptreden, globalt samarbeid for å bekjempe
IKT-kriminalitet og internasjonalt samarbeid
om styrket IKT-sikkerhet. Norge deltar aktivt
i denne utviklingen.

En relativ ny utvikling er tettere koblinger
mellom sikkerhetspolitikk og utviklingspolitikk.
Meld. St. 37 (2014–2015) Globale sikkerhetsutfordringer
i utenrikspolitikken angir flere viktige tiltak
for det internasjonale arbeidet. Regjeringen
har blant annet etablert en gruppe for koordinering
av norske posisjoner i internasjonal cyberpolitikk.
Gruppen ledes av Utenriksdepartementet og skal blant annet utarbeide en internasjonal cyberstrategi
for Norge. Strategien skal tydeliggjøre
regjeringens overordnede mål innenfor hele spekteret
av internasjonal politikk for det digitale rom,
der IKT-sikkerhet er ett av flere elementer.

For å trygge nasjonale interesser er Norge en
aktiv deltaker i utformingen av NATOs politikk
innenfor IKT-sikkerhet. I 2011 signerte Norge og
NATO en samarbeidsavtale om beskyttelse mot
digitale trusler. Avtalen sikret informasjonsdeling
mellom partene, noe som øker Norges evne til å
verne IKT-systemer mot digitale angrep. Norge
var blant de første landene som inngikk en slik avtale.
I 2016 ble avtalen revidert.

Utviklingen og implementeringen av EUs program
for et digitalt indre marked (Digital Single
Market, DSM) vil ha stor betydning også for Norge gjennom vår EØS-tilknytning. Blant annet
vil innføringen av NIS-direktivet medføre en styrking
av ENISA,18 siden ENISA er tiltenkt rollen
som faglig knutepunkt for det nettverk av nasjonale
fagmyndigheter som direktivet etablerer.
Norsk deltakelse i ENISA blir derfor enda viktigere
enn hva det er i dag.

Internasjonalt samarbeid om IKT-sikkerhet
foregår også i andre internasjonale fora. I mellomstatlige
organisasjoner som OECD og FN, men
også i samarbeid med næringslivet, akademia og
sivilsamfunnet. Regjeringen vil delta og bidra internasjonalt
for å løse felles problemstillinger.

18 ENISA (European Union Agency for Network and Information
Security) – EUs byrå for nettverk- og informasjonssikkerhet.
ENISA ble etablert i 2004 og Norge er tilknyttet.

[...]

8.2 Regjeringens politikk

[...]

Regjeringen har også foreslått endringer i
blant annet straffeloven gjennom Prop. 44 L (2015
– 2016) Endringer i straffeloven mv. (militær deltagelse
i væpnet konflikt m.m.) som tar sikte på å
motvirke at privatpersoner rekrutteres til og deltar
i stridshandlinger i en væpnet konflikt (såkalte
fremmedkrigere). De nye reglene trådte i kraft 1.
juli 2016.2 Et viktig formål med denne regelendringen
er å hindre at personer blir radikalisert til
voldshandlinger gjennom deltakelse i stridshandlinger
og deretter kan utgjøre en mulig trussel
mot sikkerheten i Norge. Videre vedtok Stortinget
i juni 2016 utvidet adgang til opptak, lagring og
bruk av biometri på utlandske borgere. Hensikten
er å ha bedre kontroll med hvem som kommer til
landet og oppholder seg her.

[...]

Regjeringen vil:

– følge opp tiltakene i regjeringens handlingsplan
mot radikalisering og voldelig ekstremisme
og utvikle nye tiltak i tråd med risikobildet
på feltet

– styrke analysekapasiteten til PST, slik at etaten
blir bedre i stand til å bekjempe terrorhandlinger
på norsk jord

– legge til rette for at PST i større grad målretter
sine trusselvurderinger mot de som har ansvar
for og myndighet til å iverksette tiltak under en
krisesituasjon

– gjøre det enklere å nekte potensielle fremmedkrigere
pass

– etablere en sikker og effektiv identitetsforvaltning
basert på biometri, slik at det utstedes
sikre pass og nasjonale ID-kort med eID

– arbeide videre for å styrke samarbeidet mellom
statlige etater og næringslivet for å være bedre
rustet mot statlige eller ikke-statlige digitale
angrep mot Norge og norske interesser

– følge opp og videreutvikle Justis- og beredskapsdepartementets
strategi mot IKT-kriminalitet:

– sørge for at det årlig utarbeides en særskilt,
felles trusselvurdering for IKT-kriminalitet
på Justis- og beredskapsdepartementets
fagområde

– bygge opp et høykompetent fagmiljø innenfor
politiet som skal styrke bekjempelsen av
IKT-kriminalitet

– styrke politidistriktenes grunnkompetanse
og fagmiljøer innenfor IKT kriminalitet

– styrke politiets grunnutdanning og etter- og
videreutdanning innenfor IKT-kriminalitet

– gjennomføre tiltakene i handlingsplanen mot
menneskehandel

– styrke arbeidet mot hvitvasking og terrorfinansiering,
ved å gjennomføre regjeringens strategi
mot hvitvasking og terrorfinansiering og
utarbeide Nasjonal risikovurdering på området

– styrke samarbeidet mellom politiet og kontrolletatene,
blant annet gjennom å videreutvikle tverretatlige etterretnings- og analysefunksjoner
– utvikle reglene om taushetsplikt slik at det bidrar
til bedre informasjonsutveksling og samhandling
mellom offentlige kontrollmyndigheter
og mellom kontrollmyndighetene og politiet

[...]

8.3.2 Forebygge og bekjempe terror

[...]

ID-arbeidet styrkes i 2016 gjennom økt bruk
og lagring av biometri. Stortinget vedtok i 2016
endringer i utlendingsloven §§ 100 og 100a, som
gir hjemmel for rutinemessig å oppta og behandle
biometrisk personinformasjon i form av fingeravtrykk
og ansiktsfoto av alle tredjelandsborgere
som søker oppholdstillatelse og visum til Norge. I
statsbudsjettet for 2017 foreslår regjeringen 81
millioner kroner til politiet og Utlendingsdirektoratet
(UDI) for å styrke kontrollen av identitet til
personer som reiser inn i og oppholder seg i riket,
samt forebygge og bekjempe ulovlig opphold og
kriminalitet som baserer seg på falsk ID og misbruk
av ID. Dette omfatter også utvidet bruk av
biometri, flere mobile håndholdte enheter som
muliggjør identitetskontroll, etablere taps- og verifikasjonssystem
for offentlige og private aktører,
samt forberede nasjonalt ID-kort til utenlandske
borgere og verifikasjon av utenlandske ID-dokumenter.

Sammen med infrastrukturen for pass og nasjonalt
ID-kort skal det etableres et miljø for utstedelse
av eID sammen med nasjonalt ID-kort. En
eID med samme sikkerhet som pass vil bidra til å
hindre identitetstyveri på nett.

[...]

8.5 IKT-kriminalitet

IKT-kriminalitet øker i omfang. Kostnadene for
samfunnet er betydelige. Stadig flere forbrytelser
etterlater digitale spor, samtidig som kriminalitet i
det digitale domenet i seg selv øker. IKT-kriminalitet
er IKT-hendelser som er kriminalisert etter
norsk lov, og deles ofte inn i kriminalitet rettet
mot selve IKT-systemene, og kriminelle
handlinger begått ved hjelp av IKT som et vesentlig
redskap.

Eksempler på IKT-kriminalitet kan være dataangrep,
ulovlig endring av data, ulovlig avlytting
eller avlesning av datakommunikasjon, identitetstyveri,
nettbankbedrageri, eller omsetning av narkotika
og andre illegale produkter på internett.
Overgrepsbilder av barn og annet overgrepsmateriale
er andre eksempler på IKT-kriminalitet.

IKT-kriminaliteten er i stor grad internasjonal.
De kriminelle kan oppholde seg i ett land, bruke
programvare som er plassert i et annet land og
begå kriminalitet i et tredje. De kriminelle trenger
ikke være fysisk nær offeret, de kan angripe svært
mange mål samtidig og har gode sjanser for ikke å
bli oppdaget.

IKT-kriminalitet begås av vidt forskjellige type
gjerningspersoner, fra de på «gutte-/jenterommet
» til organiserte kriminelle miljøer. En særlig
utfordring er profesjonelle kriminelle som selger
tjenester til andre kriminelle. De stiller enten
verktøy til disposisjon eller utfører kriminalitet på
vegne av andre.

På grunn av den internasjonale dimensjonen
blir det ofte vanskelig å forebygge og bekjempe
IKT-kriminalitet. Når flere land er involvert, vil
landenes ulikheter i lovgivning komplisere bekjempelsen
og straffeforfølgelsen. Det gjør det
også utfordrende at informasjon fra Norge lagres i skytjenester som har datautstyr eller programvare
plassert utenfor norsk jurisdiksjon.

Regjeringen er opptatt av at Norge skal være
trygt og sikkert, også på IKT-området. De som utøver
IKT-kriminalitet skal ikke kunne forberede
eller gjennomføre kriminelle handlinger uten betydelig
risiko for å bli oppdaget og straffeforfulgt.
Arbeidet med IKT-kriminalitet henger også
sammen med det arbeidet som regjeringen gjør
for å styrke IKT sikkerheten i samfunnet. I kapittel
6 «Digitale sårbarheter og IKT-sikkerhet» drøftes
både utfordringer og tiltak knyttet til IKTsikkerhet.

For å styrke bekjempelsen av IKT-kriminaliteten
lanserte Justis- og beredskapsdepartementet i
juni 2015 sin første strategi mot IKT-kriminalitet.
Strategien angir retning og prioriteringer for justismyndighetenes
arbeid, samt 15 konkrete tiltak.
Tiltakene retter seg mot å styrke kompetanse og
kapasitet, bygge kunnskap og styrke forskningen,
kartlegge teknologiske løsninger og styrke internasjonalt
samarbeid og nasjonal lovgivning.

Det er etablert en bredt sammensatt referansegruppe
som fortløpende skal gi innspill til fremtidige
revisjoner av strategien.

Enkelte av tiltakene i strategien kan ha budsjettmessige
konsekvenser. Disse kan enten finansieres
gjennom omprioriteringer eller nye bevilgninger.
Regjeringen vil komme tilbake til eventuelle
nye bevilgninger i forbindelse med de årlige
budsjettforslagene. Det tas derfor forbehold om
når tiltakene kan gjennomføres. I det følgende angis
sentrale, prioriterte områder.

8.5.1 Bygge opp et høykompetent fagmiljø
innenfor politiet

Det er viktig at politiet i større grad enn i dag bekjemper
IKT-kriminalitet og behandler elektroniske
spor.

Det skal bygges opp et høykompetent fagmiljø
innenfor politiet som skal gjøre politiet bedre i
stand til å forebygge og bekjempe IKT-kriminalitet.
Fagmiljøet bør prioritere å etterforske saker
som er alvorlige, kompliserte eller som reiser nye
problemstillinger. Et slikt sentralt fagmiljø vil
kunne støtte opp under politidistriktene slik at deres
evne til å etterforske IKT-kriminalitet blir
bedre.

For å få bedre kunnskap skal det innenfor Justis-
og beredskapsdepartementets ansvarsområde
utarbeides en særskilt trusselvurdering for
IKT-kriminalitet. Kripos skal utarbeide en slik
trusselvurdering årlig, og vurderingene vil danne
grunnlag for målrettet politiinnsats på feltet.

8.5.2 Styrke politidistriktenes grunnkompetanse
og fagmiljøer

Politidistriktene skal ha et robust IKT-teknisk
miljø som har evne til å bekjempe IKT-kriminalitet,
behandle elektroniske spor og arbeide på internett.
Digitalt politiarbeid gir bedre kunnskapsgrunnlag,
sørger for raskere tilgang til relevant informasjon
og kan gjøre etterforskingen mer effektiv.
Politidistriktene skal i større grad være tilstede
på internett for å etterforske og forebygge
kriminalitet, og utføre politiarbeid med tilstrekkelig
teknologisk og politifaglig kompetanse.

I Oslo politidistrikt er det etablert et pilotprosjekt
for hvordan politiet kan videreutvikle sine
oppgaver når det gjelder etterforsking og forebygging
av IKT-kriminalitet. Erfaringene fra dette arbeidet
vil danne grunnlag for anbefalinger for
hvordan andre politidistrikter bør styrke sin bekjempelse
av IKT-kriminalitet.

8.5.3 Økt kunnskap gjennom bedre
utdanning i politiet

Politiets grunnutdanning og etter- og videreutdanning
skal styrkes innenfor IKT kriminalitet. Politiet
må øke sin kunnskap om og forståelse av de
nye utfordringene knyttet til bekjempelse av IKTkriminalitet,
behandling av elektroniske spor og
tilstedeværelse på internett. Politiets kompetanse
vil også styrkes når det gjelder forebyggende metoder,
tilstedeværelse og patruljering på nett, taktisk
politiarbeid på nett, etterforsking av IKT-kriminalitet,
sikring og analyse av elektroniske beslag
og innsamling av informasjon på nett.

[...]

Boks 13.4 Intervju med Per Ketil Riisem

[...]

Skape en delingskultur

Per Ketil ivrer for det han kaller en delingskultur.
– Trondheim kommune deler mye informasjon
med andre aktører, det er en helt bevisst policy.
Verktøyet CIM (IKT-verktøy til støtte for
blant annet krisehåndtering) tillater oss å enkelt
dele informasjon med både nabokommunene og
andre beredskapsaktører. Vi har blant annet etablert
en felles loggfunksjon mellom kommunen
og Trøndelag brann- og redningstjeneste, St.
Olavs Helseforetak, Sivilforsvaret og Trondheim
havn. Slik har vi automatisk tilgang til hverandres
informasjon ved hendelser. Med nabokommunene
deler vi blant annet risiko- og sårbarhetsanalyser.
Det har en rekke fordeler. Vi
kan lære av hverandre, og vi kan enklere bli oppmerksomme
på forhold av betydning på tvers av
kommunegrenser.

[...]

14.2 Behov for endringer i sikkerhetsloven

Det har ikke vært noen helhetlig revisjon av sikkerhetsloven
siden den trådte i kraft i 2001. Risikoog
trusselbildet samfunnet står overfor har imidlertid
endret seg vesentlig siden den gang. I 2013
ble det etablert en arbeidsgruppe for helhetlig
revisjon av loven. Arbeidet avdekket grunnleggende
utfordringer ved hva sikkerhetsloven bør
regulere, deriblant forholdet mellom sikkerhetsloven
og annet sikkerhetsrelatert sektorregelverk.
Det ble besluttet å dele opp arbeidet med revisjon
av loven i to faser. I den første fasen skulle det
identifiseres enkelte konkrete, mindre endringer
som hurtig kunne gjennomføres uten forutgående
analyser. Fase to innebærer en ny helhetlig revisjon
av sikkerhetsloven. Lovreguleringen skal
sikre et helhetlig, robust og fremtidsrettet forebyggende
regelverk, samt ta høyde for teknologisk utvikling,
demografiske endringer og endret sikkerhetsbilde.

Den 8. juni 2016 vedtok Stortinget lov av 12.
august 2016 nr. 78 om endringer i sikkerhetsloven;
det vil si første fase av lovarbeidet. Lovvedtaket
bygget på Innst. 352 L (2015–2016) og Prop.
97 L (2015–2016), og medfører en rekke endringer
i sikkerhetsloven, herunder:

– reduksjon av antall klareringsmyndigheter, til
én sentral klareringsmyndighet i sivil sektor og
én tilsvarende i forsvarssektoren

– nye bestemmelser om varsling, og myndighet
til å fatte vedtak, ved risiko for sikkerhetstruende
virksomhet ved anskaffelser til kritisk infrastruktur

– endring fra oppdragsbasert til tidsavgrensede
leverandørklareringer i forbindelse med sikkerhetsgraderte
anskaffelser

I tillegg ble gjeldende praksis på enkelte områder
lovfestet, herunder

– NSMs ansvar for den nasjonale responsfunksjonen
for alvorlige dataangrep mot kritisk infrastruktur
(NorCERT)

– NSMs ansvar for varslingssystemet for digital
infrastruktur (VDI)

– rammene for NorCERT og VDI funksjonenes
behandling av personopplysninger

– sikkerhetsmessig overvåking av informasjonssystemer
godkjent for behandling av sikkerhetsgradert
informasjon

[...]

Teknologiløft til PST

PST behandler store mengder data. PST har behov
for systemer som kan effektivisere tjenesten i
hverdagen, ved ekstraordinære hendelser og i kriser.
Regjeringen har i statsbudsjettet for 2017 foreslått
å bevilge 90 millioner kroner i 2017 til et teknologiløft
for PST, herunder bedre verktøy for
analyse. Nye teknologisystemer vil sette PST
bedre i stand til å forhindre et terrorangrep på
norsk jord og gi bedre beslutningsstøtte til regjering,
politi og forsvar. PST skal med nye teknologisystem
kunne komme raskere fra analyse til
handlinger som forhindrer terror. Beslutningsgrunnlag
vil kunne bli utarbeidet både raskere og
med høyere kvalitet enn hva som er tilfellet i dag.
Dette var også ett av forholdene som evalueringene
etter terrorhandlingene 22. juli 2011 pekte
på. Bedre verktøy for analyse vil også kunne bidra
til å styrke personvernet og EOS-utvalgets legalkontroll
med tjenesten, fordi det sikrer sporbarhet
og innsyn i data.

ID- arbeid

ID-arbeidet styrkes i 2016 gjennom økt bruk og
lagring av biometri. Stortinget vedtok i 2016
endringer i utlendingsloven §§ 100 og 100a, som
gir hjemmel for rutinemessig å oppta og behandle
biometrisk personinformasjon i form av fingeravtrykk
og ansiktsfoto av alle tredjelandsborgere
som søker oppholdstillatelse og visum til Norge. I
statsbudsjettet for 2017 foreslår regjeringen å bevilge
81 millioner kroner til politiet og Utlendingsdirektoratet
for å styrke kontrollen av identitet til
personer som reiser inn i og oppholder seg i riket,
samt forebygge og bekjempe ulovlig opphold og
kriminalitet som baserer seg på falsk ID og misbruk
av ID. Herunder utvidet bruk av biometri,
flere mobile håndholdte enheter som muliggjør
identitetskontroll, etablere taps- og verifikasjonssystem
for offentlige og private aktører, samt forberede
nasjonalt ID-kort til utenlandske borgere
og verifikasjon av utenlandske ID-dokumenter

Relatert

• Melding om samfunnssikkerhet – risiko i et trygt samfunn

Se også saken på regjeringen.no.